Unternehmen sind dazu verpflichtet, den Datenschutz und etwaige Datenschutzgesetze, wie die Datenschutz-Grundverordnung, beim Umgang mit personenbezogenen Daten einzuhalten. Ein wichtiges Instrument für Verantwortliche im Datenschutz ist die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO (kurz DSFA), zum Zwecke des Schutzes personenbezogener Daten und zum Schutz der Rechte und Freiheiten von betroffenen Personen.
Erfahren Sie in diesem Artikel mehr über den Zweck einer Datenschutz-Folgenabschätzung, über die Notwendigkeit der Durchführung einer DSFA bei bestimmten Verarbeitungsvorgängen einschließlich der Vorgehensweise und Beispiele aus der Praxis, und erhalten Sie ein Datenschutz-Folgenabschätzung Muster, welches Sie kostenfrei herunterladen und nutzen können.
Direkt zum Muster: Sie suchen eine Vorlage? Das Muster einer Datenschutz-Folgenabschätzung als PDF können Sie ohne Anmeldung herunterladen. Prüfen Sie vor dem Ausfüllen mit der Schwellwertanalyse, ob Sie für Ihre Verarbeitung überhaupt eine DSFA brauchen.
Das Wichtigste in Kürze
Was ist eine Datenschutz-Folgenabschätzung (DSFA)?
Eine Datenschutz-Folgenabschätzung (DSFA) ist ein Instrument, mit dem Sie Risiken einer Verarbeitung von personenbezogenen Daten für die Rechte und Freiheiten der betroffenen Personen beschreiben, bewerten und eindämmen. Sie geht damit über eine reine Risikobewertung hinaus: Sie beschreiben die geplanten Vorgänge und ihre Zwecke, prüfen, ob die Verarbeitung notwendig und verhältnismäßig ist, bewerten die Risiken und legen Abhilfemaßnahmen fest. So zeigen Sie zugleich, dass Sie die Vorgaben der DSGVO einhalten. Datenschutz-Folgenabschätzungen helfen damit, Datenschutzverstöße zu verhindern und den Datenschutz im Betrieb zu gewährleisten. In englischsprachigen Dokumenten heißt die DSFA Data Protection Impact Assessment, kurz DPIA.
Wann ist eine Datenschutz-Folgenabschätzung erforderlich?
Eine Datenschutz-Folgenabschätzung ist immer dann Pflicht, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Das gilt besonders beim Einsatz neuer Technologien. Maßgeblich sind Art, Umfang, Umstände und Zwecke der Verarbeitung, so steht es in Art. 35 Abs. 1 DSGVO. Die Abschätzung muss vorab erfolgen, also bevor die Verarbeitung beginnt.
Zwei Quellen helfen bei der Einordnung: Die DSGVO nennt drei typische Fälle, und die Aufsichtsbehörden führen Listen mit Verarbeitungen, die eine DSFA erfordern. Beides ist nicht abschließend. Auch eine Verarbeitung, die nirgends genannt ist, kann ein hohes Risiko mit sich bringen.
Wer eine erforderliche DSFA unterlässt oder fehlerhaft durchführt, riskiert nach Art. 83 Abs. 4 DSGVO ein Bußgeld von bis zu 10 Millionen Euro oder bei Unternehmen bis zu 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Gesetzliche Bestimmungen zur Durchführung einer Datenschutz-Folgenabschätzung
Der Art. 35 Abs. 3 DSGVO erfordert insbesondere in folgenden drei Fällen die Durchführung einer DSFA:
a) „systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen, die sich auf automatisierte Verarbeitung einschließlich Profiling gründet und ihrerseits als Grundlage für Entscheidungen dient, die Rechtswirkung gegenüber natürlichen Personen entfalten oder diese in ähnlich erheblicher Weise beeinträchtigen"
Beispiele für automatisierte Verarbeitungsvorgänge, die einer Risikoanalyse / DSFA bedürfen
1. Talentmanagement-System eines Unternehmens
Bei dieser Datenverarbeitung werden Daten über die Leistungen und das Verhalten der Mitarbeiter automatisch erfasst und ausgewertet, um Entscheidungen über Beförderungen, Gehaltserhöhungen und Weiterbildungen zu treffen. Das Talentmanagement-System kann etwa die Arbeitsqualität anhand von KPIs (Key Performance Indicators) bewerten, die auf individuelle Arbeitsziele und Unternehmensziele abgestimmt sind. Werden Beschäftigte so systematisch und umfassend bewertet und stützen sich Entscheidungen über Beförderung oder Gehalt auf diese Bewertung, ist in der Regel der erste Fall des Art. 35 Abs. 3 DSGVO erfüllt, und Sie brauchen eine DSFA. Allein die Tatsache, dass Daten automatisiert verarbeitet werden, löst die Pflicht dagegen nicht aus. Auch die Muss-Liste der DSK nennt unter Nr. 8 die umfangreiche Verarbeitung von Verhaltensdaten Beschäftigter, wenn sie zur Bewertung ihrer Arbeit eingesetzt werden kann und daraus Rechtsfolgen oder andere erhebliche Beeinträchtigungen entstehen.
2. Bewertung durch Kredit-Scores
Kredit-Scores sind Bewertungen, die von Finanzinstituten und Kreditgebern verwendet werden, um die Kreditwürdigkeit von potenziellen Kreditnehmern zu bewerten. Die Bewertung erfolgt anhand verschiedener Kriterien wie Zahlungsverhalten, Verschuldungsgrad, Beschäftigungsgeschichte und Bonität. Diese Daten werden automatisch aus verschiedenen Quellen gesammelt und bewertet, um einen Kredit-Score für den Kreditnehmer zu erstellen. Weil der Score über die Kreditvergabe mitentscheidet, ist hier in aller Regel eine DSFA erforderlich. Der Europäische Gerichtshof hat 2023 außerdem entschieden: Nach dem SCHUFA-Urteil C-634/21 gilt das Scoring selbst als grundsätzlich verbotene automatisierte Entscheidung im Einzelfall, wenn die Bank dem Wert eine maßgebliche Rolle bei der Kreditvergabe beimisst.
Kredit-Scores sind Bewertungen, die von Finanzinstituten und Kreditgebern verwendet werden, um die Kreditwürdigkeit von potenziellen Kreditnehmern zu bewerten. Die Bewertung erfolgt anhand verschiedener Kriterien wie Zahlungsverhalten, Verschuldungsgrad, Beschäftigungsgeschichte und Bonität.
Diese Daten werden automatisch aus verschiedenen Quellen gesammelt und bewertet, um einen Kredit-Score für den Kreditnehmer zu erstellen. Weil der Score über die Kreditvergabe mitentscheidet, ist hier in aller Regel eine DSFA erforderlich. Der Europäische Gerichtshof hat 2023 außerdem entschieden: Nach dem SCHUFA-Urteil C-634/21 gilt das Scoring selbst als grundsätzlich verbotene automatisierte Entscheidung im Einzelfall, wenn die Bank dem Wert eine maßgebliche Rolle bei der Kreditvergabe beimisst.
Die DSGVO erfordert die Datenschutz-Folgenabschätzung außerdem unter den folgenden Umständen:
b) „umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Artikel 9 Absatz 1 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10"
Beispiele für Verarbeitungen sensibler Daten, die eine Datenschutz-Folgenabschätzung erfordern
1. Verarbeitung von Gesundheitsdaten im Rahmen der medizinischen Forschung
Ein Unternehmen, das auf medizinische Forschung spezialisiert ist, könnte umfangreiche Verarbeitungen von Gesundheitsdaten durchführen, um neue Medikamente und Therapien zu entwickeln. Diese Verarbeitungen können auch die Verwendung von genetischen Informationen und anderen sensiblen Daten umfassen. Dieser Prozess der Datenverarbeitung bedarf einer Risikoanalyse mit einer Folgenabschätzung, um die Risiken für die Rechte und Freiheiten der betroffenen Personen abzuschätzen.
2. Verarbeitung von Gesundheitsdaten durch eine Versicherung
Eine Versicherung benötigt in der Regel (z. B. im Rahmen von Kranken- oder Lebensversicherungen) umfangreiche Informationen über den Gesundheitszustand und Vorerkrankungen ihrer Kunden, um eine Bewertung der Risiken durchführen und die Prämienhöhe festlegen zu können. Hierbei handelt es sich um besondere Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1. Im Sinne des Datenschutzes muss die verantwortliche Stelle eine DSFA für diese Fälle der Verarbeitung durchführen.
Und die DSGVO führt noch einen dritten Fall auf, der auf jeden Fall eine Datenschutz-Folgenabschätzung erfordert:
c) „systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche"
Öffentlich zugänglich ist nach den Leitlinien der Artikel-29-Datenschutzgruppe (WP 248) jeder Ort, der allen Menschen offensteht, zum Beispiel ein Einkaufszentrum, eine Straße, ein Marktplatz, ein Bahnhof oder eine öffentliche Bibliothek. Der typische Fall ist eine großflächige Videoüberwachung. Ein Beispiel zur Videoüberwachung finden Sie weiter unten in diesem Artikel.
Durchführung einer Datenschutz-Folgenabschätzung ohne gesetzliche Verpflichtung
Die Durchführung einer DSFA kann jedoch auch sinnvoll sein, wenn es keine gesetzliche Verpflichtung hierfür gibt, z. B. um:
die Einhaltung der geltenden Gesetze und Vorschriften innerhalb des Unternehmens bewerten zu können,
Risiken zu erkennen und zu minimieren,
zu wissen, wo persönliche Daten gespeichert sind und mit wem diese ggf. geteilt werden.
Listen der Aufsichtsbehörden („Blacklists“)
Die Aufsichtsbehörden veröffentlichen nach Art. 35 Abs. 4 DSGVO Listen mit Verarbeitungen, für die eine DSFA durchzuführen ist. Diese Listen heißen Muss-Listen oder umgangssprachlich „Blacklists“.
Für Unternehmen zählt vor allem eine Liste: die gemeinsame Muss-Liste der Datenschutzkonferenz (DSK), Version 1.1 vom 17.10.2018. Sie gilt für den nicht-öffentlichen Bereich und nennt 17 Verarbeitungstätigkeiten mit Beispielen, darunter die Geolokalisierung von Beschäftigten, den Betrieb von Bewertungsportalen und den Einsatz künstlicher Intelligenz im Kundensupport. Die meisten Landesbehörden stellen genau diese Liste bereit, einige in eigener Aufmachung.
Zwei Länder weichen ab: Baden-Württemberg und Thüringen führen auf ihren Seiten weiterhin eigene Listen aus dem Jahr 2018, die sich von der DSK-Liste unterscheiden. Sitzt Ihr Unternehmen dort, prüfen Sie beide Listen.
Für den öffentlichen Bereich haben die Aufsichtsbehörden eigene Muss-Listen veröffentlicht. Die Liste des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) gilt für öffentliche Stellen des Bundes.
Orientieren Sie sich zusätzlich an der Landesbehörde, die für Sie zuständig ist. Das ist in der Regel die Behörde des Bundeslandes, in dem Ihr Unternehmen seinen Hauptsitz hat. Die folgende Übersicht zeigt, welche Listen die einzelnen Datenschutzbehörden bereitstellen (Stand: November 2026).
Listen der Datenschutzbehörden mit Verarbeitungsvorgängen,
für die eine DSFA durchzuführen ist
Hier geht es zur Liste für den nicht-öffentlichen Bereich für Baden-Württemberg. Sie stammt aus dem Jahr 2018 und unterscheidet sich von der Liste der DSK, prüfen Sie deshalb beide.
Die bayerische Datenschutzbehörde verweist auf die Liste der DSK.
Hier finden Sie die Liste der Datenschutzbehörde Berlin für den nicht-öffentlichen Bereich.
Die Behörde in Brandenburg veröffentlicht eine Liste für den nicht-öffentlichen Bereich und eine Liste für den öffentlichen Bereich.
Die Liste für den nicht-öffentlichen Bereich von Bremen können Sie sich hier herunterladen.
Hier geht es zur Liste für den nicht-öffentlichen Bereich von Hamburg.
Die hessische Datenschutzbehörde verweist ebenfalls auf die Liste der DSK.
Die Datenschutzbehörde von Mecklenburg-Vorpommern veröffentlichte diese eigene Liste für den öffentlichen Bereich und verweist für den nicht-öffentlichen Bereich auf die DSK.
Die Datenschutzbehörde von Niedersachsen stellt die Liste der DSK für den nicht-öffentlichen Bereich und eine eigene Liste für den öffentlichen Bereich bereit.
Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) stellt auf ihrer Seite zur DSFA die DSK-Liste für den nicht-öffentlichen Bereich und eine eigene Liste für den öffentlichen Bereich bereit.
Hier finden Sie die Liste für den öffentlichen Bereich von der Behörde für Rheinland-Pfalz. Für den nicht-öffentlichen Bereich stellt sie die Liste der DSK bereit.
Die Datenschutzbehörde im Saarland verweist auf die Liste der DSK.
Die Sächsische Datenschutz- und Transparenzbeauftragte verweist auf die Liste der DSK.
Die Datenschutzbehörde in Sachsen-Anhalt veröffentlicht eine Liste für den öffentlichen Bereich und die Liste der DSK für den nicht-öffentlichen Bereich.
Die Datenschutzbehörde in Schleswig-Holstein stellt die Liste der DSK in Version 1.1 bereit.
Die Datenschutzbehörde in Thüringen stellt weiterhin eine vorläufige Liste für den öffentlichen und nicht-öffentlichen Bereich aus dem Jahr 2018 bereit. Unternehmen sollten daneben die Liste der DSK prüfen.
Schwellwertanalyse: So klären Sie, ob die Pflicht greift
Bevor Sie eine vollständige DSFA beginnen, prüfen Sie, ob Sie überhaupt eine brauchen. Die DSK nennt diese Vorprüfung Schwellwertanalyse. Gehen Sie dabei in vier Schritten vor:
Die neun Kriterien stammen aus den Leitlinien WP 248 rev.01, die der Europäische Datenschutzausschuss (EDSA) bestätigt hat:
Als Faustregel gilt: Treffen zwei Kriterien zu, ist in den meisten Fällen eine DSFA erforderlich. Je mehr Kriterien zutreffen, desto wahrscheinlicher ist ein hohes Risiko. In Einzelfällen kann auch ein Kriterium genügen. Kommen Sie trotz mehrerer Kriterien zu dem Ergebnis, dass kein hohes Risiko besteht, begründen und dokumentieren Sie das und halten auch die Einschätzung Ihres Datenschutzbeauftragten fest.
Wer ist zuständig, und welche Rolle hat der Datenschutzbeauftragte?
Der Verantwortliche. Die Pflicht zur DSFA trifft den Verantwortlichen, in der Regel also das Unternehmen. Die Arbeit selbst kann jemand anderes innerhalb oder außerhalb des Unternehmens übernehmen, die Verantwortung bleibt aber beim Verantwortlichen.
Der Datenschutzbeauftragte. Ist ein Datenschutzbeauftragter benannt, müssen Sie nach Art. 35 Abs. 2 DSGVO seinen Rat einholen. Außerdem berät er auf Anfrage und überwacht die Durchführung, so sieht es Art. 39 Abs. 1 lit. c DSGVO vor. Er entscheidet aber nicht anstelle des Unternehmens. Halten Sie seinen Rat und Ihre Entscheidung in der DSFA fest.
Fachbereiche und Dienstleister. Eine DSFA braucht Wissen aus mehreren Bereichen. Laut DSK kann sie im Allgemeinen nur ein interdisziplinäres Team erstellen, das Kompetenzen in Datenschutz, Risikoermittlung und den Fachprozessen mitbringt. Auftragsverarbeiter müssen Sie nach Art. 28 Abs. 3 lit. f DSGVO unterstützen.
Die betroffenen Personen. Gegebenenfalls holen Sie nach Art. 35 Abs. 9 DSGVO den Standpunkt der Betroffenen oder ihrer Vertreter ein. Das kann eine Umfrage sein oder eine Frage an die Beschäftigtenvertretung. Verzichten Sie darauf, dokumentieren Sie den Grund.
Für kleine Unternehmen: Nach derzeitiger Rechtslage muss, wer Verarbeitungen vornimmt, die einer DSFA unterliegen, nach § 38 Abs. 1 BDSG einen Datenschutzbeauftragten benennen, und zwar unabhängig von der Zahl der Beschäftigten. Die sonst geltende Grenze von 20 Personen spielt dann keine Rolle. Der Bund hat angekündigt, diese Vorschrift aufzuheben, bisher gilt sie aber unverändert.
Wie ist eine Datenschutz-Folgenabschätzung durchzuführen?
Die Mindestinhalte einer DSFA stehen in Art. 35 Abs. 7 DSGVO. Daraus ergibt sich folgender Ablauf:
Für mehrere ähnliche Verarbeitungen mit ähnlich hohen Risiken genügt nach Art. 35 Abs. 1 DSGVO eine gemeinsame Abschätzung.
Kommt das Unternehmen zu dem Schluss, dass die Verarbeitung so wie geplant ein zu hohes Risiko für die Betroffenen darstellt, muss es nicht gleich aufgeben. Es kann die technischen und organisatorischen Maßnahmen nachbessern, bis das Risiko auf ein akzeptables Maß sinkt. Dann kann die Verarbeitung starten. Gelingt das nicht, bleibt der Weg über die Aufsichtsbehörde. Wie eine solche Nachbesserung aussieht, zeigt das Praxisbeispiel weiter unten.
Wann Sie die Aufsichtsbehörde konsultieren müssen
Bleibt das Risiko trotz aller Maßnahmen hoch, dürfen Sie nicht einfach starten. Sie müssen die zuständige Aufsichtsbehörde nach Art. 36 DSGVO vor Beginn der Verarbeitung konsultieren. Die Leitlinien WP 248 nennen als Beispiele für ein solches Restrisiko erhebliche oder sogar unumkehrbare Folgen für die Betroffenen, oder Fälle, in denen der Eintritt des Risikos offensichtlich ist.
Ihrem Antrag legen Sie unter anderem bei:
Hält die Behörde die Verarbeitung für nicht rechtskonform, gibt sie innerhalb von bis zu acht Wochen schriftliche Empfehlungen. Bei komplexen Verarbeitungen kann sie die Frist um sechs Wochen verlängern und muss das innerhalb eines Monats mitteilen. Fordert sie Informationen nach, kann die Frist ruhen. Außerdem kann sie ihre Befugnisse aus Art. 58 DSGVO nutzen. Planen Sie diese Zeit im Projekt ein.
Datenschutz-Folgenabschätzung Beispiel anhand der Videoüberwachung
Ein Unternehmen plant eine Videoüberwachung seines Geländes und holt dafür ein Angebot bei einem Dienstleister ein. Noch bevor die Kameras in Betrieb gehen, prüft das Unternehmen in der Schwellwertanalyse die Pflicht zur DSFA. Nicht jede Kamera löst sie aus. In diesem Beispiel soll die Anlage aber große Teile des Geländes dauerhaft erfassen, darunter den für Besucher zugänglichen Eingangsbereich. Deshalb entscheidet sich das Unternehmen für eine DSFA. Das Unternehmen beschreibt die Anlage und zieht seinen Datenschutzbeauftragten hinzu. Beim Vor-Ort-Termin mit dem Dienstleister fällt dem Datenschutzbeauftragten auf, dass zwei der geplanten Kamerapositionen über das eigene Gelände hinausreichen und den öffentlichen Gehweg erfassen würden. Das Unternehmen bewertet dieses Risiko als zu hoch, die Anlage kann so nicht starten.
Ein Unternehmen plant eine Videoüberwachung seines Geländes und holt dafür ein Angebot bei einem Dienstleister ein. Noch bevor die Kameras in Betrieb gehen, prüft das Unternehmen in der Schwellwertanalyse die Pflicht zur DSFA. Nicht jede Kamera löst sie aus. In diesem Beispiel soll die Anlage aber große Teile des Geländes dauerhaft erfassen, darunter den für Besucher zugänglichen Eingangsbereich. Deshalb entscheidet sich das Unternehmen für eine DSFA.
Das Unternehmen beschreibt die Anlage und zieht seinen Datenschutzbeauftragten hinzu. Beim Vor-Ort-Termin mit dem Dienstleister fällt dem Datenschutzbeauftragten auf, dass zwei der geplanten Kamerapositionen über das eigene Gelände hinausreichen und den öffentlichen Gehweg erfassen würden. Das Unternehmen bewertet dieses Risiko als zu hoch, die Anlage kann so nicht starten.
Auf Rat des Datenschutzbeauftragten legt das Unternehmen fest, die beiden Kameras so einzustellen oder zu verpixeln, dass der öffentliche Bereich auf den Bildern nicht mehr zu sehen ist. Nach dieser Änderung bewertet das Unternehmen das Risiko neu, der Datenschutzbeauftragte überprüft das Ergebnis. Hohe Risiken für die Betroffenen bestehen nun nicht mehr, und die Videoüberwachung kann in Betrieb gehen. Rat und Entscheidung stehen in der DSFA.
Künstliche Intelligenz: Was beim KI-Einsatz gilt
Auch beim Einsatz von KI prüfen Sie zuerst, ob ein hohes Risiko besteht. Die Datenschutzkonferenz schreibt dazu in ihrer Orientierungshilfe „Künstliche Intelligenz und Datenschutz“, dass eine DSFA beim Einsatz von KI-Anwendungen vielfach erforderlich sein wird. Die Muss-Liste der DSK nennt unter Nr. 11 den KI-Einsatz, der die Interaktion mit Betroffenen steuert oder ihre persönlichen Aspekte bewertet. Ein Beispiel ist ein System, das Kunden im Gespräch berät und dafür personenbezogene Daten verarbeitet.
In der Praxis kommt es auf die Anbieter an: Wer ein KI-System nur einsetzt, ist für die DSFA auf Informationen zur Funktionsweise angewiesen. Achten Sie deshalb schon bei Auswahl und Einkauf darauf, dass der Anbieter diese Informationen liefert.
Die KI-Verordnung knüpft daran an. Betreiber von Hochrisiko-KI-Systemen verwenden gegebenenfalls die Informationen des Anbieters nach Art. 26 Abs. 9 KI-Verordnung für ihre DSFA. Bestimmte Betreiber müssen zusätzlich eine Grundrechte-Folgenabschätzung durchführen. Soweit eine DSFA deren Pflichten schon erfüllt, können sie nach Art. 27 Abs. 4 KI-Verordnung in der neuen Fassung auf die DSFA verweisen oder die passenden Teile übernehmen. Für Hochrisiko-Systeme nach Anhang III gelten diese Pflichten durch die Verordnung (EU) 2026/1744 ab dem 2. Dezember 2027. Die Pflicht zur DSFA nach der DSGVO gilt schon heute.
Datenschutz-Folgenabschätzung Muster
Hier haben Sie die Möglichkeit, ein Muster einer Datenschutz-Folgenabschätzung gemäß Art. 35 Datenschutz-Grundverordnung kostenfrei herunterzuladen und zu nutzen. Mit dem Muster können Sie Datenschutz-Folgenabschätzungen für alle Verarbeitungsvorgänge in Ihrem Unternehmen erstellen, die ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen bergen. Zum Datenschutz-Folgenabschätzung Muster:
Das Muster ist eine Hilfe für die Dokumentation. Die Bewertung für Ihre konkrete Verarbeitung nimmt es Ihnen nicht ab. Es führt Sie durch die Prozessbeschreibung, die Verarbeitungsgrundsätze, die Einschätzung von Schaden und Eintrittswahrscheinlichkeit, die Prüfung von Geeignetheit, Erforderlichkeit und Verhältnismäßigkeit sowie das Ergebnis. Eigene Felder für die Schwellwertanalyse, die geplanten Abhilfemaßnahmen mit Restrisiko, den Rat des Datenschutzbeauftragten und den Standpunkt der Betroffenen enthält es nicht. Ergänzen Sie diese Punkte in Ihrer DSFA.
Vorlage des Europäischen Datenschutzausschusses: Der EDSA hat 2026 eine eigene DSFA-Vorlage samt Erläuterung zur Konsultation veröffentlicht, bisher nur auf Englisch. Die Konsultation endete am 9. Juni 2026, eine endgültige Fassung lag bis November 2026 nicht vor. Die Nutzung ist nicht verpflichtend. Die Vorlage vereinheitlicht die Dokumentation, die Aufsichtsbehörden wollen sie nach der Konsultation als Standard oder als Rahmen für nationale Vorlagen übernehmen.
Was noch kommen kann: Die EU-Kommission hat im Digitalen Omnibus vorgeschlagen, die DSFA-Listen EU-weit zu vereinheitlichen und eine gemeinsame Vorlage und Methodik einzuführen. EDSA und Europäischer Datenschutzbeauftragter unterstützen das grundsätzlich. Der Rat hat die einheitliche Liste und die gemeinsame Vorlage in seinem Verhandlungsmandat vom Oktober 2026 beibehalten. Beschlossen ist das aber noch nicht, die Verhandlungen beginnen erst, wenn das Parlament seine Position festgelegt hat (Stand: November 2026). Bis dahin gelten die oben genannten Listen.
Fazit
Ob Sie eine DSFA brauchen, klären Sie mit der Schwellwertanalyse: Prüfen Sie die drei Fälle aus Art. 35 Abs. 3 DSGVO, die Muss-Liste der DSK und die neun Kriterien, und dokumentieren Sie Ihr Ergebnis. Wenn Sie unsicher sind, wenden Sie sich an Ihren Datenschutzbeauftragten. Ist eine DSFA erforderlich, müssen Sie nach derzeitiger Rechtslage unabhängig von der Mitarbeiterzahl einen Datenschutzbeauftragten benennen. Das kann nach Art. 37 Abs. 6 DSGVO auch ein externer Datenschutzbeauftragter sein. Bei Fragen zur DSFA oder bei Unterstützungsbedarf wenden Sie sich gerne direkt an uns und nehmen Sie Kontakt über unsere Website auf. Wir unterstützen Sie gerne und helfen Ihnen dabei, eine Datenschutz-Folgenabschätzung durchzuführen.
Sven Brodermanns
